VDIを情報漏洩の最終兵器の1つと思ってないですか？
ポエムです。
2つのVDI導入目的
- リモートからアクセスし作業する仮想的な端末を、イントラネット等の安全と思われる場所に配置
- リモートからアクセスし作業する仮想的な端末の安全性確保（セキュリティアップデート等の適用とリスクのあるアプリケーション等をインストールさせない）
あたりがVDIを安全だと思う主な理由ではないかと。
境界防御の内側が安全ならZeroTrustは流行っていない
目的のひとつめは、単なる境界防御のそのもの。境界防御の有効性を信じるか？信じないか？はひとそれぞれですが、信じている人が少なくなってきたので、ZeroTrustなんていう考え方がでてきているわけです。ZeroTrustが重要だと理解しているのに、境界防御の内側に配置するVDIでコントロールする端末は安全なのでしょうか？
イントラネット内の安全な端末から情報漏洩発生していませんか？
BYODいまいち流行らない理由の1つに、IT部門のコントロール下にない端末の安全か確保されていない可能性があると思います。サポート切れしたOSやブラウザが使われたり、OSやアプリケーションのセキュリティ更新が実施されていない端末からのアクセスに不安があり、安全に管理された端末を使わせたいという意図は理解できます。
しかし、管理化の安全だと思われている端末からの情報漏洩がかなりの頻度から発生している状況からも、安全な端末を用意しても情報漏洩は防げないのです。
安全な端末からの情報漏洩の主な2つの要因
ひとつめは標的型攻撃。
一般的なスパムメールのリンクを踏む（アクセスする）なんていうケースはかなり減ったと思いますが、巧妙にしくまれた標的型攻撃を防ぐのは不可能に近いと思います。航空会社社員を装った攻撃メールが旅行会社に送信され、その旅行会社の社員数名の端末やアカウントが乗っ取られ、情報漏洩に繋がったという過去の漏洩事件なんかを考えると、標的型攻撃を防ぐのはかなりキビしいと思います。
ふたつめは、現職者や退職者や、出入りのパートナー等からの漏洩。
IPAの少々古い資料(企業における営業秘密管理に関する実態調査2020 ですがこの資料にもあるとおり、いまや、情報漏洩理由の50%以上は関係者です。故意なのか過失なのかはわかりませんが、関係者が原因ならば、端末の安全性は関係なく情報漏洩します。
標的型攻撃や関係者からの情報漏洩、VDIで防げますか？
自ずと答えは導きだせると思います。
VDIのメリット
それでも、VDIは安全度が高いのでは？と思われる方もおられると思います。VDIの利点は、「大量の情報を一度に持ち出しにくくできる」点だと思います。個人情報をダンプして、USBメモリにコピーして持ち帰る、みたいなことはしにくくなるでしょう。これはVDIのメリットだと思います。
情報漏洩に少量情報の漏洩も大量情報も関係なく1件でも漏洩です
情報漏洩か？漏洩ではないか？個人情報委員会が報告義務の漏洩事態の1つに「1,000人を超える漏えい等が発生した」事態という定義をいれているので、件数が大事と思われている場合もあるかと思いますが、1000件以下なら情報漏洩にあたらないわけではないのは当然ですよね。
つまりは、機密情報が表示されている画面のスマホで撮影しただけで、漏洩の可能性ありです。
みたいなことを考えていると、2倍端末が売れるVDIってベンダーが儲かるための仕組みなんのではないかと勘ぐってしまいます。
以上ポエムでした。